Auftraggeber
Branche
Informationstechnologie (cloudbasierte Branchensoftware für Verbände und Mitgliederorganisationen)
Größe
Kleinunternehmen
Mandat
Funktion
IT-Assessment und IT-Beratung (Produkt-, Infrastruktur- und Datenschutzkonzept)
Auftrag
Analyse bestehender Software, Infrastruktur und Prozesse sowie Erarbeitung von Vorschlägen zur datenschutzrechtlichen Neuausrichtung von Produktkonzept und -architektur
Einsatzort
Saarbrücken
Projektdauer
2 Monate
Ausgangslage/Problem
- Das Unternehmen betreibt eine gewachsene, cloudbasierte Branchensoftware, über die in erheblichem Umfang personenbezogene Daten verarbeitet werden.
- Zum Nutzerkreis gehören Auftraggeber der öffentlichen Hand. Diese hatten beanstandet, dass die Umsetzung des Datenschutzes technisch wie inhaltlich nicht durchgängig den Anforderungen genügte.
- Produktkonzept, technische Umsetzung und Infrastruktur waren daher so weiterzuentwickeln, dass sie den Anforderungen öffentlicher Auftraggeber standhalten – ohne den funktionalen Kern des Produktes und damit dessen Marktvorteil zu entwerten.
Aufgaben/Maßnahmen
- Bestandsaufnahme über die gesamte Wertschöpfungskette: Funktionsumfang der Software, Datenmodell und Datenflüsse, Software-Entwicklungsprozesse sowie Cloud-Infrastruktur und die dahinterliegende Dienstleisterlandschaft.
- Systematische Aufnahme und Bewertung der von öffentlicher Seite vorgebrachten Bedenken – nach datenschutzrechtlicher Kritikalität, technischer Lösbarkeit und Auswirkung auf das Produkt.
- Anpassung des inhaltlichen Produktkonzeptes: Neufassung einzelner Funktionen so, dass sie denselben fachlichen Zweck datensparsamer erfüllen (Zweckbindung, Rollen- und Berechtigungsmodell, Sichtbarkeiten, Einwilligungen, Aufbewahrungs- und Löschkonzept).
- Erarbeitung von Maßnahmen zur Verbesserung des Datenschutzes auf Infrastruktur-Ebene (u. a. Verschlüsselung, Zugriffs- und Protokollierungskonzept, Auftragsverarbeitung und Standortwahl).
- Mitarbeit am technischen Umsetzungskonzept und Verankerung der Anforderungen im Entwicklungsprozess, sodass Datenschutz als Konstruktionsprinzip statt als nachgelagerte Korrektur wirkt.
- Fachliche Begleitung des Auftraggebers in den Gesprächen mit den Datenschutzbeauftragten der öffentlichen Hand.
Ergebnis
- Das Datenschutzniveau wurde auf ganzer Breite deutlich angehoben – im Produktkonzept, in der Software selbst, in der Infrastruktur und im Entwicklungsprozess.
- Die Bedenken der öffentlichen Auftraggeber konnten ausgeräumt werden, unter anderem in direkten Gesprächen mit deren Datenschutzbeauftragten.
- Der öffentliche Auftrag wurde zwischenzeitlich erfolgreich umgesetzt.